安全组和防火墙区别

从作用范围来看，安全组作用于虚拟机网卡，而防火墙则是在VPC路由器上，保护整个VPC；安全组是分布式部署的，在每个计算节点上都会存在，而防火墙是集中式，把VPC路由器变成了防火墙；安全组是白名单机制，仅支持允许策略，防火墙可以自定义规则行为是允许还是拒绝；安全组规则根据配置顺序来定优先级，防火墙则可以自定义优先级；安全组规则的匹配内容包括源IP、源端口、协议，防火墙则包括五元组以及TCP flag、ICMP Type、报文状态。防火墙的功能是更为强大的。

从流量的角度再来看下，访问VPC内部虚拟机的流量到公有网络后，先经过VPC路由器，也就是防火墙，然后是VPC网络，再到虚拟机端口上，经过安全组过滤最后发给虚拟机。可以看到，防火墙是在安全组之前生效的。

从配置的角度来看，安全组是作用于虚拟机网卡的，如果虚拟机数量非常多，那么就需要再一个个将虚拟机选择出来加入安全组，过程复杂且繁琐；而用防火墙就方便的多，直接几条策略即可，防护整个网段。

当然，防火墙也有无法触及之处，防火墙作为VPC网络的网关，主要对南北向流量进行过滤，同一个VPC网络中的虚拟机通信没有办法做控制，这个时候就需要依靠安全组了。